Voice over IP Forensics

Abstract

Ο σκοπός της παρούσας διατριβής είναι διττός. Από τη μία πλευρά γίνεται διερεύνηση των δυνατοτήτων ανάκτησης ψηφιακών πειστηρίων (forensics) που υπάρχουν σε επικοινωνίες μετάδοσης φωνής πάνω από το διαδίκτυο (VoIP). Από την άλλη πλευρά διερευνάται η χρήση τεχνικών απόκρυψης (anti-forensics) σε ένα ετερογενές δίκτυο επικοινωνιών.Οι δύο αυτοί φαινομενικά αντιφατικοί στόχοι παρέχουν τη δυνατότητα για μια σφαιρική διερεύνηση των ψηφιακών πειστηρίων στις VoIP επικοινωνίες.Πιο συγκεκριμένα ο πρώτος στόχος ήταν να αναπτυχθεί ένα πλαίσιο (framework) για τη συλλογή, διακράτηση και ανάλυση δεδομένων ώστε να είναι εφικτή μια αποτελεσματική διεξαγωγή εγκληματολογικής έρευνας σε VoIP επικοινωνίες.Ο δεύτερος στόχος ήταν να αναπτυχθεί ένα νέο πλαίσιο το οποίο δύναται να παρέχει ανωνυμία σε χρήστες κατά τη διάρκεια μίας κλήσης σε δίκτυο κινητής τηλεφωνίας όταν ο πάροχος θεωρείται κακόβουλος χρησιμοποιώντας ένα κοινόχρηστο VoIP δίκτυο. Τα οφέλη από τους δύο παραπάνω στόχους είναι τα εξής: Ο πρώτος στόχος θα ενισχύσει σημαντικά την δικαστική ετοιμότητα σε μια παρεχόμενη υπηρεσία VoIP και θα παράσχει πολύτιμα ψηφιακά πειστήρια στις νομικές αρχές ή στους ερευνητές όταν καλούνται να εξετάσουν ένα συμβάν παραβίασης των κανόνων ασφαλείας. Ο δεύτερος στόχος θα ενισχύσει την προστασία της ιδιωτικότητας των χρηστών σε ψηφιακές επικοινωνίες μέσω της ανωνυμίας. Επιμέρους στόχοι των δύο παραπάνω εργασιών ήταν:•Να καθοριστεί το είδος των πτητικών (volatile) δεδομένων μπορούν να συλλεχθούν από την VoIP κίνηση του δικτύου, όταν αυτό έχει υλοποιηθεί με το πρωτόκολλο SIP. •Να ανακαλυφθεί ένας τρόπος για τη διατήρησή τους ο οποίος να μην χρειάζεται μεγάλης χωρητικότητας αποθηκευτικά μέσα.•Να διερευνηθεί εάν αυτό μπορεί να γίνει σε πραγματικό χρόνο ή ενεργοποίηση της καταγραφής θα ξεκινάει ύστερα από κάποιο προκαθορισμένο συμβάν.•Να διερευνηθεί η καταλληλότερη μορφή για την αποθήκευση των δεδομένων έτσι ώστε να είναι εύκολο να αναλυθούν και να συσχετιστούν με άλλες πηγές. •Η συλλογή θα πρέπει να είναι ανεξάρτητη από τον κατασκευαστή των συσκευών που υλοποιούν το δίκτυο VoIP. •Το μοντέλο που θα αναπτυχθεί πρέπει να είναι εύκολα επεκτάσιμο και δομημένο έτσι που να μπορεί να υλοποιηθεί σε οποιαδήποτε υπάρχουσα υποδομή δικτύου, χωρίς καμία σημαντική αλλαγή της αρχιτεκτονικής του. •Να αναπτυχθεί ένα πρωτότυπο, έτσι ώστε να δοκιμαστούν οι προτεινόμενες μέθοδοι σε ένα πραγματικό δίκτυο VoIP και να αξιολογηθεί η προτεινόμενη λύση.Τέλος η επίτευξη στόχων που έχουν προκαθορισθεί να γίνει με σεβασμό προς την κείμενη νομοθεσία και να γίνει αναγνώριση των ορίων που επιβάλει ο νόμος σε περίπτωση λειτουργίας της.Οι επιμέρους στόχοι της δεύτερης εργασίας ήταν: •Να μελετηθεί το σημερινό περιβάλλον όσον αφορά την ιδιωτικότητα σε δίκτυο κινητής τηλεφωνίας.•Να σχεδιαστεί ένα πλαίσιο για την παροχή ανωνυμίας με υιοθέτηση τεχνικών απόκρυψης σε δίκτυα VoIP.•Να αναπτυχθεί ένα πρωτότυπο μοντέλο για την πραγματοποίηση δοκιμών.•Να διερευνηθούν τα όρια λειτουργίας και να γίνει μια αξιολόγηση της προτεινόμενης λύσης σε πραγματικές συνθήκες. •Το μοντέλο να είναι επεκτάσιμο και σε άλλα δίκτυα επικοινωνίας όπως το Δημόσιο Τηλεφωνικό Δίκτυο (PSTN). Όλοι οι παραπάνω στόχοι που τέθηκαν εκπληρώθηκαν και αξιολογήθηκαν μέσω των δοκιμών που έγιναν στα συστήματα που αναπτύχθηκαν. Αξίζει εδώ να σημειωθεί ότι τα συστήματα αναπτύχθηκαν και δοκιμάστηκαν σε πραγματικές συνθήκες στο διαδίκτυο και όχι σε κάποιο απομονωμένο τοπικό δίκτυο ενός εργαστηρίου. Διαπιστώθηκε ότι με την προτεινόμενη λύση και τις τεχνικές που εφαρμόστηκαν μπορούν να ληφθούν μια πληθώρα αποδεικτικών στοιχείων που τα περισσότερα από αυτά χάνονταν διότι δεν καταγράφονταν πουθενά. Ο τύπος του εξοπλισμού του τελικού χρήστη, η ιδιωτική IP και το λογισμικό που χρησιμοποιείται από τους νόμιμους χρήστες μιας υπηρεσίας VoIP είναι μερικά από τα στοιχεία που μπορούν να βοηθήσουν ώστε να οικοδομηθεί μια αξιόπιστη αρχική βάση δεδομένων πληροφοριών. Από την άλλη πλευρά, οι ιδιωτικές διευθύνσεις IP ενός δυνητικού εισβολέα, ακόμη και κατά τη διάρκεια της παρουσίας υπηρεσιών NAT, καθώς και τα εργαλεία επίθεσης που χρησιμοποιούνται καταγράφονται πλέον για περαιτέρω ανάλυση. Οι δε επιθέσεις είναι πλέον ευκολότερα ανιχνεύσιμες διότι πλέον υπάρχει μια εποπτική εικόνα του συνολικού δικτύου και όχι ενός επιμέρους συστήματος.Λαμβάνοντας υπόψη την ευρεία υιοθέτηση των smartphones στις κινητές επικοινωνίες και την κοινόχρηστη χρήση πόρων στην κοινότητα του διαδικτύου, ένας νέος μηχανισμός για την επίτευξη της ανωνυμίας στο Παγκόσμιο Σύστημα Κινητών Επικοινωνιών (GSM) αναπτύχθηκε. Υλοποιήθηκε μια υποδομή VoIP χρησιμοποιώντας το Session Initiation Protocol, στην οποία ένα smartphone Α εγγράφεται σε ένα καταχωρητή SIP Α’ και να αρχίζει τη συνομιλία μέσω GSM με ένα smartphone B με τη βοήθεια ενός τρίτου smartphone C που λειτουργεί ως πύλη στο δίκτυο GSM. Η επικοινωνία των δύο χρηστών Α και C γίνεται πάνω από το δίκτυο VoIP ενώ παράλληλα χρησιμοποιείται και ένας τρίτος SIP ενδιάμεσος εξυπηρετητής. Το ενδιαφέρον είναι ότι η υπηρεσία μπορεί να παρέχεται χωρίς επιπλέον κόστος εκμεταλλευόμενη τα συμβόλαια σταθερής χρέωσης που συνάπτουν οι χρήστες με τους παρόχους τους. Επιπλέον η υποδομή που αναπτύχθηκε για την εμπειρική αξιολόγηση δεν αποκάλυψε κάποια σημαντική υποβάθμιση της φωνητικής ποιότητας των παρεχόμενων υπηρεσιών ενώ αναδείχθηκαν και οι απαιτήσεις σε συγκεκριμένους υπολογιστικούς πόρους της υποδομής.Κάποια χαρακτηριστικά των υλοποιήσεων που αξίζει να σημειωθούν αφορούν: Την δυνατότητα δημιουργίας αρχείων καταγραφής (log files) από την κίνηση του δικτύου για όλες τις συσκευές που συμμετέχουν σε μία υποδομή VoIP. Τα περισσότερα από αυτά τα δεδομένα που καταγράφονται τώρα απλά χάνονται. Για να κρατηθεί χαμηλός ο όγκος αποθήκευσης των δεδομένων δε, γίνεται φιλτράρισμα πριν την αποθήκευση, με βάση προεπιλεγμένες κεφαλίδες και μεθόδους του πρωτοκόλλου. Τα αρχεία καταγραφής δικτύου τηρούνται είτε σε βάση δεδομένων ή είτε σε ευρετήριο (indexer) αλλά όχι σε μορφή pcap όπως παράγονται από τα προγράμματα καταγραφής. Το τελευταίο σαφώς δίνει μεγαλύτερες δυνατότητες στην ανάλυση των δεδομένων. Επιπλέον δύναται να δημιουργούνται αρχεία καταγραφής ακόμα και για συσκευές ή εφαρμογές που δεν είναι σε θέση να παράγουν τέτοια. Τα δεδομένα καταγραφής κανονικοποιούνται αμέσως και είναι αδιάφορο το είδος της συσκευής ή της εφαρμογής που τα παράγει εφόσον όμως ακολουθούνται τα RFCs της IETF. Επιπλέον η λύση μπορεί να επεκταθεί και σε πρωτόκολλα διαφορετικά του SIP έτσι ώστε να μπορεί να υλοποιηθεί ένα κεντρικό σημείο συλλογής και καταγραφής δεδομένων. Τέλος η ανωνυμία στο GSM ήταν από μόνη ένα νέο χαρακτηριστικό. Παρά το γεγονός ότι οι αντι-εγκληματολογικές μέθοδοι που χρησιμοποιήθηκαν δεν ήταν νέες, αλλά μάλλον πολύ καλά εδραιωμένες, το γεγονός να συνδυαστούν οι δύο διαφορετικές τεχνολογίες επικοινωνιών ήταν μοναδικό.